代码扫面扫出存储型攻击XSS怎么解决？

2020-03-27 10:57:27 1.9k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

【pprof】简要学习教程基本介绍 pprof 是在做性能优化前的性能分析工具。安装： go get -u github.com/google/pprof 分析工具 go tool pprof 是命令行指令，用于分析 Profiling 数据，源数据可以是 http 地址，也可以是已经 dump 下当 profile 文件；查看模式可以命令行交互模式，也可以是浏览器模式（-http 参数）。两种应用服务型应用 _ "net/http/pprof" 包，专用于采集 web 服务运行数据的分析。即在运行的服务中通过 API . 阅读详情

代码扫描出输出流存在漏洞请问怎么解决

...全文

基于Matlab的MIMO通信系统仿真_Simulink实现瑞利衰落信道中使用空时分组码的BPSK调制的BER 1、2发1收参数设置：双极性信号元+1和-1，每符号含1bit; 采样时间=符号时间=1s; 采用基于数据帧的仿真计算模式，每帧中有2个采样值; 仿真时间=出现100个误码后停止仿真; 随机整数种子=22; Jakes衰落模型中每个信道上的多普勒频移=0.01Hz; 输人信号功率=2W; Alamouti码:两根发送天线，一根接收天线(分集阶= 2); 平均信道信噪比= 18dB; 仿真得出的误码率统计BER =0. 00017. 2、2发阅读详情

情谊梦幻

Java 51,407 成员 86,130 内容

+ 关注 + 加入社区

切换为时间正序

yubo0920 2021-05-26

打赏
举报

我也遇到了类似的问题，您这最后是怎么解决的？

情谊梦幻 2021-02-09

打赏
举报

引用 11 楼 Hagsyn 的回复:

楼主解决了吗，这个流出现的存储型XSS缺陷

没有，那时是直接注释掉后再扫描的

Hagsyn 2020-12-21

打赏
举报

楼主解决了吗，这个流出现的存储型XSS缺陷

孔雀之王 2020-03-31

打赏
举报

收shell

tangyuan569 2020-03-30

打赏
举报

还有代码审计工具自动化也有误报的可能.叫乙方给具体修复代码.

tangyuan569 2020-03-30

打赏
举报

XSSFileter 是在前端输入这一块就过滤了XSS攻击...还没到后端代码层这一块处理. 你现在用的应该是代码审计工具(fortify)吧...直接扫后端处理代码,所以XSSFileter 不起作用. 一般攻击者只能从前端发起攻击. 所以都是加过滤器...从源代码修复的话..
write的时候过滤掉xss 你直接在这里加过滤器试下.能骗过代码审计工具么,,我不知道这样影响正常业务么.反正我这边没这样处理过.

tangyuan569 2020-03-30

打赏
举报

引用 4 楼情谊梦幻的回复:

[quote=引用 3 楼 tangyuan569 的回复:]
https://www.jianshu.com/p/b85bec74f0ec 可以参考这个过滤XSS修复

这个XXSFileter是写了的，每个请求也都会进行过滤，但是代码扫描还是会扫到这个流存在攻击[/quote]

XSFileter 是在前端输入这一块就过滤了XSS攻击...还没到后端代码层这一块处理. 你现在用的应该是代码审计工具(fortify)吧...直接扫后端处理代码,所以XSFileter 不起作用. 一般攻击者只能从前端发起攻击. 所以都是加过滤器...从源代码修复的话..
write的时候过滤掉xss

情谊梦幻 2020-03-30

打赏
举报

引用 3 楼 tangyuan569 的回复:

https://www.jianshu.com/p/b85bec74f0ec 可以参考这个过滤XSS修复

这个XXSFileter是写了的，每个请求也都会进行过滤，但是代码扫描还是会扫到这个流存在攻击

qq_42077212 2021-09-18

@情谊梦幻我也遇到和你一样的问题在过滤器加了，但是扫描代码还是有这个问题。请问你最后怎么解决的

weixin_43864911 2022-01-17

@qq_42077212 加了过滤还是会扫描出问题，你最后怎么解决的？

tangyuan569 2020-03-30

打赏
举报

引用 8 楼情谊梦幻的回复:

[quote=引用 7 楼 tangyuan569 的回复:]
还有代码审计工具自动化也有误报的可能.叫乙方给具体修复代码.

没办法改，要是把前端代码一起扫描估计要改死去，所以还是不改了，直接注释掉然后扫描在撤回把！[/quote]

情谊梦幻 2020-03-30

打赏
举报

引用 7 楼 tangyuan569 的回复:

还有代码审计工具自动化也有误报的可能.叫乙方给具体修复代码.

没办法改，要是把前端代码一起扫描估计要改死去，所以还是不改了，直接注释掉然后扫描在撤回把！

tangyuan569 2020-03-27

打赏
举报

https://www.jianshu.com/p/b85bec74f0ec 可以参考这个过滤XSS修复

tangyuan569 2020-03-27

打赏
举报

还有时候扫描器会误报的. 不知道你们公司有没有做过滤器...类似注入把 |or|and|;|-|--|+|,|like|//|/|*|%|# 等过滤掉
https://blog.csdn.net/seesun2012/article/details/79058265 具体思路参考这. 这是注入的过滤方式..XSS也类似...

tangyuan569 2020-03-27

打赏
举报

在输入过滤，在显示的地方做输出编码。
使用一个统一的规则做输出编码
富文本框，使用白名单控制输入。
使用HTTPOnly标志
一般前端写过滤器..比如<> () alert 过滤掉.
能给下功能点和前端代码吗?

代码扫面扫出存储型攻击XSS怎么解决？

相关推荐